最近研究了公司繁星網http://fanxing.kugou.com的代碼，看看有沒有什麼漏洞，包括xss漏洞，敏感字符過濾漏洞，嘗試對用戶留言的代碼進行了研究。
發現json_decode函數對包含反斜槓“\”的json數據進行解碼時會拋出異常，這是之前未發現的，當然，對某些格式的數據，比如\u22\u3e，不會拋出異常。
當研究到str_replace函數時，發現該函數竟然是二進制安全的，因爲無論你輸入字符串的任何格式，它都可以匹配到並進行替換。
哈哈，最後搞了很久還是沒找到漏洞，最後公司收到http://www.wooyun.org/網站團隊的漏洞提醒，發現竟然是上傳文件漏洞，對上傳文件名並沒有進行任何的過濾，真是無語了，低級錯誤，是誰寫的代碼，拉出去受刑。。。，我竟然沒想到要去研究上傳模塊，哎。
繁星網的代碼量很大，不過脈絡清晰，還有待於繼續研究。